Go标准库net/http未内置Session支持，因其遵循“小而精”设计哲学，仅提供HTTP底层设施；Session需开发者自行组合Cookie与服务端存储实现。
为什么标准库 net/http 没有内置 Session 支持
Go 标准库设计哲学是“小而精”，net/http 只提供底层 HTTP 基础设施（如请求/响应、Cookie、路由），不封装有状态的会话逻辑。Session 本质是服务端状态 + 客户端标识（通常是 Cookie 中的 session_id），需开发者自行组合实现，这也意味着你可以按需选择存储后端（内存、Redis、DB）和过期策略。
用 gorilla/sessions 实现基础 Session 读写
这是最常用、稳定、文档清晰的第三方方案。它不绑定存储，只负责加密签名、序列化、Cookie 管理和 ID 分发。
- 安装：
go get github.com/gorilla/sessions - 使用内存存储（仅开发/测试）：
store := sessions.NewCookieStore([]byte("your-secret-key"))，注意密钥必须固定且足够随机，生产环境务必换成环境变量加载 - 在 handler 中获取 session：
session, err := store.Get(r, "my-session")；错误通常来自 Cookie 解密失败或过期，不是空 session 导致 panic - 存值：
session.Values["user_id"] = 123；只支持可序列化的值（string、int、struct等），不能存*http.Request或函数 - 保存必须显式调用：
session.Save(r, w)，漏掉这步等于没写入——这是新手最常踩的坑
生产环境必须换 Redis 存储
内存存储无法多实例共享，重启即丢数据，且无自动过期清理。推荐用 github.com/gomodule/redigo/redis 或 github.com/go-redis/redis/v8 自定义 sessions.Store 实现。
- 核心是实现
MaxAge() int和Save(*http.Request, http.ResponseWriter, *sessions.Session) error方法 - Redis key 建议加前缀（如
sess:）避免冲突，value 序列化推荐json.Marshal，而非 Go 的gob（跨语言/版本兼容性差） - 设置 TTL 要和 Cookie 的
MaxAge对齐：比如 Session 过期 20 分钟，Redis key 也设EXPIRE sess:abc 1200，否则会出现“Cookie 没过期但服务端找不到数据”的情况 - 注意 Redis 连接池复用，不要每次 Save 都新建连接
如何安全地处理 Session 过期与续期
Session 续期（renew）不是自动行为，需手动控制。常见误区是每次请求都重置过期时间，导致长期未操作用户仍保持登录——这违背安全要求。
立即学习“go语言免费学习笔记（深入）”；
- 区分“访问续期”和“操作续期”：静态资源（CSS/JS）请求不该刷新 Session，只有登录、提交表单等关键操作才调用
session.Options.MaxAge = 1200再Save - 检测过期应以服务端为准：从 Redis 获取时若返回 nil 或解密失败，直接视为过期，不要依赖客户端 Cookie 的过期时间
- 登出必须两步：清除服务端存储（DEL Redis key）+ 清除客户端 Cookie（
session.Options.MaxAge = -1并Save） - 敏感操作（如改密码）前建议强制验证当前 Session 是否为最新生成（比对
session.ID()和数据库中记录的 latest_session_id）
